Trezor warnte Nutzer am Mittwoch, dem 9. September 2026, davor, dass Hacker seinen Drittanbieter-E-Mail-Dienst ausgenutzt haben, um eine gefälschte Sicherheitswarnung zu verbreiten. Die Trezor-Wallet war von dem Angriff jedoch nicht betroffen. Die Kriminellen zielten auf etwas ab, das noch schwerer zu schützen ist als eine Software: das Vertrauen eines Nutzers in eine E-Mail von einem vertrauenswürdigen Anbieter.
Die Betreffzeile der Warnung lautete wie folgt: „Kritischer Sicherheitshinweis: STM32-Entropie-Schwachstelle.“ In der Nachricht hieß es, Trezor-Ingenieure hätten einen Designfehler in STM32-Chips entdeckt, die in den Produkten des Unternehmens verwendet werden. Decrypt berichtete, dass Trezor die Nachricht als Fälschung erkannte und die Leser davor warnte, auf die Links zu klicken.
Ein gefälschter Fehler, gesendet von einer echten Adresse Was die Kampagne wirksam machte, war nicht die erfundene Schwachstelle, sondern die Art und Weise, wie die E-Mail empfangen wurde. Ein Empfänger offenbarte, dass die E-Mail von help@trezor.io kam, dem Sendinblue-Kampagnenpfad folgte und die DKIM-, SPF- und DMARC-Prüfungen bestand.
Die Warnung gab an, dass eines von vier Geräten kompromittiert werden könnte und dass Wiederherstellungsphrasen möglicherweise nicht genügend Zufälligkeit oder Entropie aufweisen. Diese Formulierung ähnelte stark den Problemen, die beim jüngsten Coldcard-Angriff beschrieben wurden.
Trezor berichtete, dass es die für den Versand der Warnungen verwendete Domain gestoppt hat und begann zu untersuchen, wie es den Betrügern gelungen war, seine legitime Versandinfrastruktur zu nutzen. Die öffentliche Warnung des Unternehmens kam direkt nach 16:30 Uhr Eastern Time am 9. September heraus, nur wenige Stunden nachdem Nutzer begonnen hatten, die E-Mails zu melden.
Der Vorfall könnte über Trezor hinausreichen Laut Nick Neuman, Mitbegründer und CEO von Casa, scheint es einen ähnlichen Trend bei Nutzern von BitBox zu geben, und möglicherweise wurde ein gemeinsamer Marketing-E-Mail-Anbieter kompromittiert.
Das ist das größere Problem. Wallet-Hersteller können ihre Geräte sicherer machen, aber ihre Marke kann dennoch durch Mittel gestohlen werden, die sie nicht vollständig kontrollieren – von E-Mail-Dienstanbietern über Versandunternehmen bis hin zu Zahlungsabwicklern.
Datenpannen sind keine Geräte-Exploits In einem früheren Bericht von Cryptopolitan wurde aufgedeckt, dass Phishing-Versuche gegen Ledger-Nutzer auch ihren Weg in die physische Post gefunden haben. Es sollte jedoch beachtet werden, dass sich diese Fälle von Geräte-Exploits unterscheiden, da eine Datenpanne Identität und Kontaktinformationen gefährdet, während ein Geräte-Exploit auch finanzielle Vermögenswerte gefährden kann.
Die Angriffe auf Hardware-Wallets im Jahr 2026 machen diesen Unterschied deutlich. SafePal gab zu, dass es einen Autorisierungsfehler in einem seiner Auftragsverfolgungs-Plugins gab, der zur Offenlegung von Daten von etwa 39.798 Kunden führte, und dass Seed-Phrasen, private Schlüssel und Wallet-Zugangsdaten dieser Kunden nicht kompromittiert wurden.
Trezors ShipMonk-Vorfall erhöhte die Zahl der betroffenen Kunden schließlich auf 80.689, nachdem das Unternehmen erfuhr, dass auch alte US-Bestelldatensätze aus den Jahren 2019 bis 2021 gespeichert und offengelegt worden waren. Ähnlich sah der Global-e-Vorfall von Ledger im Januar die Offenlegung von Bestelldetails und Kontaktinformationen seiner Kunden, wobei die genaue Anzahl der Kunden nicht bekannt gegeben wurde.
In seinem Vergleich vom August kategorisierte Memeburn Ledger, Trezor und SafePal korrekt unter „Datenpannen“, während Coldcard als „Geräte-Exploit“ identifiziert wurde. Die von Memeburn in Bezug auf Trezor angegebene Zahl von 13.689 stammt jedoch aus der Zeit vor dem Update von Trezor vom 4. September.
Coldcard hebt sich vom Rest ab. Laut Galaxy Research vom 14. August wurden 190 direkte Opfer sowie mehr als 86.000 betroffene Adressen und mindestens 112,7 Millionen US-Dollar an gestohlenen 1.778,84 BTC aufgrund von Firmware-Fehlern bestätigt. Andere Schätzungen bezifferten den möglichen Verlust auf nahezu 130 Millionen US-Dollar.
Hardware-Wallet-Vorfälle 2026 vs. Coldcard-Exploit: Opfer, Datenoffenlegung und Krypto-Verluste
Geleakter Kontext speist industrialisiertes Phishing Die Gefahr einer geleakten Versandliste liegt in dem, was danach passiert. Chainalysis schätzte, dass Krypto-Betrug und -Betrugsfälle im Jahr 2025 17 Milliarden US-Dollar erbeuteten, während Identitätstäuschungs-Betrug im Jahresvergleich um mehr als 1.400 % wuchs. Außerdem wurde festgestellt, dass Betrugsfälle mit On-Chain-Verbindungen zu KI-Anbietern 4,5-mal mehr Umsatz pro Operation erzielten als solche ohne solche Verbindungen.
Ein Kaufdatensatz für eine Hardware-Wallet kann daher zu einer Targeting-Datei werden. Ein Name, gepaart mit E-Mail, Telefonnummer, Wohnadresse und der Bestätigung, dass jemand ein Krypto-Sicherheitsgerät besitzt, gibt Kriminellen den Kontext, um überzeugende E-Mails, Anrufe, Briefe oder sogar physische Annäherungsversuche zu erstellen.
Die Lehre aus dem jüngsten Trezor-Vorfall ist nicht, dass Hardware-Wallets versagt haben. Es ist vielmehr, dass die Sicherheitsperimeter nun auch die Systeme um sie herum umfasst, und Angreifer benötigen zunehmend nur noch eine vertrauenswürdig aussehende Nachricht, um durchzubrechen.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie es mit unserem Newsletter.